Neposredno trženje in ZVOP-1
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 05.07.2015Številka: 0712-1/2015/1807
Kategorije: Neporedno trženje, nagradne igre, Pogodbena obdelava OP Informacijski pooblaščenec je prejel vaš dopis v katerem sprašujete ali je upravljavec osebnih podatkov po 4. odstavku 72. člena ZVOP-1 v primeru, ko osebne podatke posreduje pogodbenemu obdelovalcu ali drugim uporabnikom, o tem dolžan obvestiti posameznike, tudi če ne gre za namen neposrednega trženja. Poleg tega vas še zanima ali lahko upravljavec obvestilo po 4. odstavku 72. člena ZVOP-1 pripravi »vnaprej«, t.j. posamezniku »na zalogo« posreduje obvestilo v katerem niso konkretizirani niti pogodbeni obdelovalci, niti podatki, ki naj bi se jim posredovali.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke 1. odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Dikcija 4. odstavka 72. člena ZVOP-1 »za namene neposrednega trženja« se nanaša tako na uporabnike kot pogodbene obdelovalce osebnih podatkov. Upravljavec sicer lahko skladno z 11. členom ZVOP-1, ki ureja pogodbeno obdelovalo, pogodbenim obdelovalcem posreduje osebne podatke tudi za drugačne namene. V teh primerih – z izjemo neposrednega trženja – upravljavcu ni potrebno obveščati posameznikov o tem, da je posamezne segmente obdelave osebnih podatkov zaupal pogodbenim obdelovalcem. Vendar pa je treba poudariti, da to velja le, ko ima upravljavec že pravno podlago za obdelavo določenih osebnih podatkov za določen namen, pogodbeni obdelovalec pa zgolj izvede del obdelave v imenu in za račun upravljavca. V zvezi s posredovanjem »blanketnih« obvestil o neposrednem trženju, s katerimi bi upravljavec pridobil privolitev posameznikov, Informacijski pooblaščenec meni, da tak pristop ni skladen z zahtevami 4. odstavka 72. člena ZVOP-1, ki izrecno zahteva naj bodo posamezniki obveščeni o tem komu in za kakšen namen bo upravljavec posredoval njihove podatke.ZVOP-1 v 72. členu ureja pravice in dolžnosti upravljavca osebnih podatkov, ko ta podatke obdeluje za namen neposrednega trženja. V 1. odstavku tega člena je neposredno trženje opredeljeno kot obdelava osebnih podatkov za namene ponujanja blaga, storitev, zaposlitev ali začasnega opravljanja del z uporabo poštnih storitev, telefonskih klicev, elektronske pošte ali drugih telekomunikacijskih sredstev (v nadaljnjem besedilu: neposredno trženje) v skladu z določbami tega poglavja, če drug zakon ne določa drugače.2. odstavek določa katere podatke lahko za namen neposrednega trženja obdeluje upravljavec osebnih podatkov. To so: osebno ime, naslov stalnega ali začasnega prebivališča, telefonsko številko, naslov elektronske pošte ter številko telefaksa. Seveda lahko na podlagi osebne privolitve posameznika upravljavec osebnih obdeluje tudi druge osebne podatke, občutljive osebne podatke pa le, če ima za to osebno privolitev posameznika, ki je izrecna in praviloma pisna.Ob tem mora upoštevati zahtevo 3. odstavka, in sicer ob izvajanju neposrednega trženja mora obvestiti posameznika o njegovih pravicah iz 73. člena ZVOP-1. Te pravice posamezniku omogočajo, da lahko kadarkolipisno ali na drug dogovorjen način zahteva, da upravljavec osebnih podatkov trajno ali začasno preneha uporabljati njegove osebne podatke za namen neposrednega trženja. Upravljavec osebnih podatkov je dolžan v 15 dneh ustrezno preprečiti uporabo osebnih podatkov za namen neposrednega trženja ter o tem v nadaljnjih petih dneh pisno ali na drug dogovorjen način obvestiti posameznika, ki je to zahteval.4. odstavek 72. člena še določa, da je upravljavec osebnih podatkov, ki osebne podatke iz 2. odstavka istega člena posreduje drugim uporabnikom za namene neposrednega trženja ali pogodbenim obdelovalcem, o tem dolžan obvestiti posameznika in pred posredovanjem osebnih podatkov pridobiti njegovo pisno privolitev. Obvestilo posamezniku o nameravanem posredovanju osebnih podatkov mora vsebovati informacijo, katere podatke namerava posredovati, komu in za kakšen namen. Stroške obvestila krije upravljavec osebnih podatkov.Za celovitejše razumevanje predstavljenega problema je potrebno upoštevati še 1. in 2. odstavek 11. člena ZVOP-1, ki ureja pogodbeno obdelavo osebnih podatkov. Upravljavec osebnih podatkov lahko posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz 24. člena tega zakona.Pogodbeni obdelovalec sme opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz 24. člena tega zakona. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz 24. člena tega zakona.Vaši vprašanji sta naslednji:Ali je upravljavec dolžan obvestiti posameznika tudi, če pogodbenim obdelovalcem posreduje podatke iz 2. odst. 72. člena ZVOP-1 za namene, ki niso neposredno trženje? Pri uporabnikih je namreč dodano "za namene neposrednega trženja", pri pogodbenih obdelovalcih pa ne.Dikcija iz 4. odstavka 72. člena ZVOP-1 »za namene neposrednega trženja« se vsebinsko nanaša tako na posameznike kot tudi na pogodbene obdelovalce. Torej gre v obeh primerih za vprašanje neposrednega trženja. Drug del vprašanja pa je ali je upravljavec osebnih podatkov posameznika dolžan obveščati o tem kaj se dogaja z osebnimi podatki, če jih je posredoval pogodbenim obdelovalcem za namene, ki niso del neposrednega trženja. Odgovor je odvisen od tega ali gre za pogodbeno obdelavo, ki jo pogodbeni obdelovalec izvaja v imenu in na račun upravljavca osebnih podatkov, ali pa gre za to, da upravljavec nekemu drugemu subjektu pošlje osebne podatke, ta novi subjekt pa jih namerava obdelovati zase in za svoje namene.V prvem primeru, ko gre za »klasično« pogodbeno obdelavo, pogodbeni obdelovalec predstavlja zgolj nekakšno preslikavo upravljavca, zanj in izključno zanj izvaja neko konkretno obdelavo osebnih podatkov, še to za namen, ki ga je določil upravljavec. V tem primeru – razen če gre za neposredno trženje – upravljavec praviloma ni dolžan obveščati svojih uporabnikov oz. posameznikov o tem kdo vse obdeluje osebne podatke o njih. Kot že zapisano, če gre za namen neposrednega trženja, upravljavec mora obveščati posameznike o tem, za druge namene pa ne. Seveda pa je situacija popolnoma drugačna, če ne gre za dejansko pogodbeno obdelavo, ki jo ureja 11. člen, ampak za »izmenjavo« podatkov, kar pomeni, da ne gre za pogodbeno razmerje v smislu upravljavec – pogodbeni obdelovalec, ampak za dva upravljavca, ki si med seboj izmenjata podatke, nato pa jih obdelujeta vsak zase in za svoje namene. V teh primerih pa je vsekakor potrebno o tem obvestiti posameznike na katere se podatke nanašajo in pridobiti predhodno privolitev za novo obdelavo osebnih podatkov.Ali lahko upravljavec temu določilu zadosti tako, da posamezniku vnaprej in "na zalogo" posreduje obvestilo, na katerem niso konkretizirani niti uporabniki oz. pogodbeni obdelovalci, niti podatki, ki bi se naj posredovali.Upravljavec osebnih podatkov, ki osebne podatke iz 2. odstavka istega člena posreduje drugim uporabnikom za namene neposrednega trženja ali pogodbenim obdelovalcem, o tem dolžan obvestiti posameznika in pred posredovanjem osebnih podatkov pridobiti njegovo pisno privolitev. Obvestilo posamezniku o nameravanem posredovanju osebnih podatkov mora vsebovati informacijo, katere podatke namerava posredovati, komu in za kakšen namen.Iz 4. odstavka 72. člena je razvidno, da mora biti upravljavec pri obveščanju posameznika konkreten, »blanketna« privolitev brez konkretnih navedb o tem kateri podatki bodo posredovani komu in za kakšen namen, po mnenju Informacijskega pooblaščenca, ne zadošča.Prijazen pozdrav,Mojca Prelesnik, univ. dipl. prav.,
informacijska pooblaščenkaPripravil:mag. Matjaž Drev,
državni nadzornik za varstvo osebnih podatkov